Trojan.Siggen32.63533

Техническая информация

Вредоносные функции

Внедряет код в

следующие пользовательские процессы:

msedge.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\microsoft\edge\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
%HOMEPATH%\desktop\hanni_umami_chapter.doc
%HOMEPATH%\desktop\applicantform_en.doc
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\alert.htm

Изменения в файловой системе

Создает следующие файлы

%TEMP%\system_diag.exe
%HOMEPATH%\desktop\stealer_debug.txt
%HOMEPATH%\stealer_early_debug.txt
%HOMEPATH%\logs\backup_log.txt
%HOMEPATH%\output\.tmpang8lg
%TEMP%\elv_097f1034-7a10-462a-9235-4a88dab2050e.exe
%TEMP%\hist_8676104a-f59e-48e0-a0fd-cb72252be15f.db
%TEMP%\dl_65046f31-c438-464a-a6f1-d708f9df852d.db
%TEMP%\auto_1f714f88-4a53-440e-80b0-1234b43fd121.db
%TEMP%\hist_0dd940d6-ce4b-49f6-af74-dc6906c70829.db
%TEMP%\dl_bfe655ef-f630-46a0-82e3-9609dbb76104.db
%TEMP%\auto_098bc712-a2dd-481c-a4f6-0cc655f42a7d.db
%TEMP%\cookies_c35e9c05-83a2-4411-a596-5831bfeda78d.db
%TEMP%\cookies_c35e9c05-83a2-4411-a596-5831bfeda78d.db-shm
%TEMP%\hist_dc929e36-22ca-4538-95cb-f6134cc4a45e.db
%TEMP%\hist_dc929e36-22ca-4538-95cb-f6134cc4a45e.db-shm
%TEMP%\dl_97b67983-7aac-43a2-84d6-5fa52748ae5e.db
%TEMP%\dl_97b67983-7aac-43a2-84d6-5fa52748ae5e.db-shm
%TEMP%\bm_5b47e886-5ac3-49d3-af3e-69491ad2b200.db
%TEMP%\bm_5b47e886-5ac3-49d3-af3e-69491ad2b200.db-shm
%TEMP%\perm_96e3ee59-909d-453c-8227-c9115283c121.db
%TEMP%\form_a04d64e8-c393-4a04-af33-266f1f2f53bd.db
%TEMP%\cookies_18971b03-8ef3-4f36-923e-8a096d100847.db
%TEMP%\cookies_18971b03-8ef3-4f36-923e-8a096d100847.db-shm
%TEMP%\hist_7134b16d-05c2-4cdd-9bde-25625b9b177c.db
%TEMP%\hist_7134b16d-05c2-4cdd-9bde-25625b9b177c.db-shm
%TEMP%\dl_1cb2c834-103b-43da-8fc2-a4cff528b71b.db
%TEMP%\dl_1cb2c834-103b-43da-8fc2-a4cff528b71b.db-shm
%TEMP%\bm_ad5582f7-cd0c-4583-be7b-99b8bdb699bd.db
%TEMP%\bm_ad5582f7-cd0c-4583-be7b-99b8bdb699bd.db-shm
%TEMP%\perm_03120bd2-3e25-441c-be67-24f68ed24723.db
%TEMP%\form_3ae1bfbb-462f-4e13-9c8c-11e5b2cd4789.db
%HOMEPATH%\output\185_93_40_66_8cf7b530613e439ba8c5ccfc0e745400_20260709_041523.zip
%TEMP%\sd_e29affa1-7584-42cc-9eb9-f969754160af.bat
nul

Удаляет файлы, которые сам же создал

%HOMEPATH%\output\.tmpang8lg
%TEMP%\elv_097f1034-7a10-462a-9235-4a88dab2050e.exe
%TEMP%\cookies_c35e9c05-83a2-4411-a596-5831bfeda78d.db-shm
%TEMP%\hist_dc929e36-22ca-4538-95cb-f6134cc4a45e.db-shm
%TEMP%\dl_97b67983-7aac-43a2-84d6-5fa52748ae5e.db-shm
%TEMP%\bm_5b47e886-5ac3-49d3-af3e-69491ad2b200.db-shm
%TEMP%\cookies_18971b03-8ef3-4f36-923e-8a096d100847.db-shm
%TEMP%\hist_7134b16d-05c2-4cdd-9bde-25625b9b177c.db-shm
%TEMP%\dl_1cb2c834-103b-43da-8fc2-a4cff528b71b.db-shm
%TEMP%\bm_ad5582f7-cd0c-4583-be7b-99b8bdb699bd.db-shm
%HOMEPATH%\output\185_93_40_66_8cf7b530613e439ba8c5ccfc0e745400_20260709_041523.zip
%HOMEPATH%\logs\backup_log.txt
%TEMP%\cookies_18971b03-8ef3-4f36-923e-8a096d100847.db
%TEMP%\cookies_c35e9c05-83a2-4411-a596-5831bfeda78d.db
%TEMP%\dl_1cb2c834-103b-43da-8fc2-a4cff528b71b.db
%TEMP%\dl_65046f31-c438-464a-a6f1-d708f9df852d.db
%TEMP%\dl_97b67983-7aac-43a2-84d6-5fa52748ae5e.db
%TEMP%\dl_bfe655ef-f630-46a0-82e3-9609dbb76104.db
%TEMP%\hist_0dd940d6-ce4b-49f6-af74-dc6906c70829.db
%TEMP%\hist_7134b16d-05c2-4cdd-9bde-25625b9b177c.db
%TEMP%\hist_8676104a-f59e-48e0-a0fd-cb72252be15f.db
%TEMP%\hist_dc929e36-22ca-4538-95cb-f6134cc4a45e.db

Подменяет следующие файлы

%HOMEPATH%\logs\backup_log.txt

Сетевая активность

Подключается к

'ip##.#canhazip.com':443
'le##er.org':443
's3.#.megas4.com':443

TCP

Другие

'ip##.#canhazip.com':443
'le##er.org':443
's3.#.megas4.com':443

UDP

DNS ASK ip##.#canhazip.com
DNS ASK le##er.org
DNS ASK s3.#.megas4.com

Другое

Создает и запускает на исполнение

'%TEMP%\system_diag.exe'
'%TEMP%\elv_097f1034-7a10-462a-9235-4a88dab2050e.exe' chrome -o temp_abe_output\chrome -v -f
'%TEMP%\elv_097f1034-7a10-462a-9235-4a88dab2050e.exe' edge -o temp_abe_output\edge -v -f
'%TEMP%\elv_097f1034-7a10-462a-9235-4a88dab2050e.exe' brave -o temp_abe_output\brave -v -f

Запускает на исполнение

'<SYSTEM32>\wbem\wmic.exe' logicaldisk where drivetype=3 get size /format:list
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
'<SYSTEM32>\systeminfo.exe'
'<SYSTEM32>\tasklist.exe'
'<SYSTEM32>\cmd.exe' /C %TEMP%\sd_e29affa1-7584-42cc-9eb9-f969754160af.bat
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\timeout.exe' /t 1 /nobreak
'<SYSTEM32>\cmd.exe' /c tasklist /fi "IMAGENAME eq system_diag*" /fo csv | findstr /i "system_diag"
'<SYSTEM32>\tasklist.exe' /fi "IMAGENAME eq system_diag*" /fo csv
'<SYSTEM32>\findstr.exe' /i "system_diag"
'<SYSTEM32>\timeout.exe' /t 2 /nobreak